Tại sao khách hàng (không phải trình duyệt) đôi khi không tin tưởng vào các chứng chỉ hợp lệ, đã ký?

Đây là một câu hỏi hơi kinh điển ... Tôi hy vọng điều đó ổn.

Trong công việc của mình, tôi thường khắc phục sự cố các tình huống trong đó máy khách chạy trên máy chủ Linux (thường là ứng dụng java) không tin cậy chứng chỉ hợp lệ, đã ký - chứng chỉ được các trình duyệt tin cậy. Cách khắc phục nhanh thông thường của chúng tôi là thêm chứng chỉ vào cửa hàng ủy thác cacerts java, nhưng nó khiến tôi thắc mắc tại sao điều này lại cần thiết.

Theo hiểu biết của tôi có hai khả năng:

1. Phía máy chủ không gửi toàn bộ chuỗi (chứng chỉ thực thể cuối + chứng chỉ trung gian), theo đúng thứ tự VÀ khách hàng không tin tưởng vào chứng chỉ trung gian (có lẽ vì nó quá cũ.)
2. Cửa hàng tin cậy của khách hàng không chứa chứng chỉ gốc để sử dụng làm mỏ neo tin cậy (có lẽ vì nó quá cũ.)

Điều đó có chính xác không? Nếu vậy, có vẻ như các khả năng thay thế để buộc tin tưởng vào chứng chỉ thực thể cuối là:

• Định cấu hình ứng dụng máy chủ để gửi toàn bộ chuỗi.
• Nâng cấp ứng dụng khách (ví dụ: java) lên phiên bản mới hơn. Trong trường hợp của tôi, thông thường bản phát hành chính của java có thể được sử dụng bị giới hạn bởi các điều kiện tiên quyết của phần mềm, nhưng có lẽ mỗi bản phát hành nhỏ chứa một cửa hàng tin cậy được cập nhật?

Bất kỳ suy nghĩ làm rõ được đánh giá cao.